Política de Privacidade

1. Abrangência e responsáveis pelo tratamento

Esta política descreve o site, a conta comercial, pagamentos, licenças, atendimento e os fluxos de dados do Uversa Desktop. A identificação jurídica da fornecedora e os canais do controlador e do encarregado permanecem pendentes nesta versão para homologação e deverão ser publicados antes da abertura comercial.

A organização fornecedora responde pelas decisões sobre dados comerciais e de licenciamento. Para prontuários e atividades assistenciais, o médico ou a instituição que define as finalidades clínicas é o responsável pelo tratamento nesse contexto. O fornecimento de software com dados locais não significa acesso automático da Uversa ao banco clínico. Se um serviço contratado exigir acesso pela fornecedora, as responsabilidades e instruções deverão ser formalizadas conforme a atividade efetivamente realizada.

2. Dados do site, cadastro e pagamento

O pagamento é processado pelo Mercado Pago quando habilitado. O módulo Uversa não armazena o número completo do cartão ou o código de segurança. Dados de faturamento, documentos e metadados necessários ao pedido podem, entretanto, ser mantidos no site. A política do provedor de pagamento também se aplica ao tratamento realizado por ele.

• Cadastro e relacionamento: nome, e-mail, CPF ou CNPJ quando exigido, telefone, endereço, organização, função e dados profissionais fornecidos nos fluxos utilizados.
• Compra e cobrança: plano, quantidade de médicos, pedidos, valores, método de pagamento, identificadores e estado da transação, assinatura, renovação, estorno ou contestação. Tokens e identificadores do provedor não equivalem ao número completo do cartão.
• Acesso e segurança: sessão, preferências, IP ou identificadores derivados, horários, tentativas de autenticação, eventos de licença e registros necessários à prevenção de abuso e análise de incidentes.
• Administração por A3: certificado público, identidade nele contida, validade e informações necessárias à conferência da autorização e revogação. O fluxo não exige entregar à Uversa o PIN ou a chave privada do token.
• Atendimento: dados de contato, identificação do pedido, versão do aplicativo, ambiente e descrição do problema. Prontuários, imagens de pacientes, senhas e documentos desnecessários não devem ser enviados pelos canais comerciais comuns.

3. Dados enviados pelo Desktop para licenciamento

A ativação e a renovação enviam ao serviço de licenças identificador da instalação, chave pública dessa instalação, identificador derivado do dispositivo, nome do computador, plataforma, versão do aplicativo e informações de validação. O serviço associa esses dados à conta, ao acesso nominal do médico, à organização quando existente, ao contrato e às datas de autorização.

Esses dados são usados para confirmar titularidade, reconhecer computadores autorizados, controlar limites, renovar o acesso e investigar irregularidades. Identificadores derivados ou pseudonimizados continuam sujeitos à proteção de dados quando puderem ser associados a uma pessoa. Credenciais de renovação são protegidas e não devem ser compartilhadas.

O fluxo de licenciamento não envia prontuários, prescrições, áudios ou anexos clínicos como requisito de ativação. Isso não impede transmissões realizadas por outros recursos externos que o usuário configure e utilize, descritos nesta política.

4. Dados locais, áudio e identificação

O Desktop mantém banco e arquivos locais que podem conter cadastros de profissionais e pacientes, documentos, prontuários, prescrições, resultados, imagens, anexos, agenda, consentimentos, solicitações de direitos e trilhas de auditoria. Recursos de voz podem tratar gravações, transcrições e perfis de voz associados à identificação de pessoas. Dados de saúde e biometria exigem proteção compatível com sua natureza sensível.

Permissão de microfone, escolha de serviço de transcrição ou habilitação de identificação por voz não substituem a definição de finalidade e base legal. Antes de gravar ou reconhecer pessoas, o responsável deve informar o procedimento, verificar sua necessidade e observar as regras de consentimento e sigilo aplicáveis. Windows Hello depende da autenticação do sistema operacional e não deve ser confundido com os perfis de voz utilizados pela aplicação.

O responsável pela clínica define quem pode consultar, gravar, corrigir ou exportar dados. Permissões por função, clínica e paciente continuam aplicáveis mesmo em modo somente leitura. Pacientes menores podem constar dos registros assistenciais, observados melhor interesse, representação e os requisitos legais próprios.

5. Finalidades e fundamentos do tratamento

O aceite dos Termos de Uso não é consentimento universal para dados de saúde, publicidade, reconhecimento biométrico, treinamento de modelos ou compartilhamento entre clínicas. Informações e escolhas específicas devem acompanhar cada operação que as exija.

• Conta, pedido, licença e atendimento contratual: procedimentos solicitados pelo titular e execução do contrato, na medida necessária.
• Faturamento, registros obrigatórios e atendimento a autoridades: cumprimento das obrigações legais ou regulatórias aplicáveis.
• Prevenção de abuso, segurança e proteção de direitos: fundamentos adequados ao caso, como legítimo interesse devidamente avaliado para dados comuns e exercício regular de direitos. Não se usa legítimo interesse como justificativa genérica para dados sensíveis.
• Comunicações opcionais ou finalidades que dependam de consentimento: autorização específica, informada e revogável, sem vincular publicidade desnecessária à compra.
• Dados clínicos, áudio de saúde e biometria: fundamento compatível com o tratamento de dados sensíveis, definido pelo controlador assistencial para cada finalidade. Tutela da saúde e obrigações profissionais não constituem autorização ilimitada para outros usos.

6. Compartilhamento comercial e fornecedores

Dados necessários podem ser tratados pelo provedor de pagamento, hospedagem, correio eletrônico, infraestrutura de autenticação administrativa e prestadores autorizados, conforme as funções contratadas. A implantação prevista utiliza Hostinger para o site e AWS para a autenticação A3; fornecedores, contratos, locais de processamento e subcontratados efetivamente usados deverão ser confirmados antes da produção.

O acesso interno deve se limitar às funções autorizadas. Divulgação a autoridades ou terceiros para cumprimento de lei ou defesa de direitos deve observar necessidade e fundamento aplicável. Dados clínicos não integram a contratação comercial como conteúdo destinado a publicidade ou venda de bases; qualquer finalidade adicional exige avaliação própria e transparência.

7. Fluxos opcionais para serviços externos

Modelos locais podem executar no computador depois de instalados, mas sua obtenção, atualização e outros serviços da aplicação podem usar internet. Escolher IA local não configura automaticamente os demais recursos como locais. Verifique serviço, conta, conteúdo e configuração antes do uso.

Não se presume que o provedor externo elimine imediatamente o conteúdo, processe somente no Brasil ou deixe de utilizá-lo para outras finalidades em qualquer modalidade de conta. O controlador deve avaliar termos, retenção, configuração e contrato do serviço escolhido e restringir o envio ao necessário. Não há autorização geral nesta política para usar prontuários no treinamento de modelos.

• Google Gemini: instruções, contexto e anexos utilizados no recurso podem ser enviados ao serviço de IA configurado. A governança clínica e a revisão humana permanecem exigidas.
• Reconhecimento de fala do Google: o áudio e os dados necessários à transcrição são enviados à infraestrutura do serviço. A configuração presente do Desktop usa região de processamento nos Estados Unidos.
• Google Drive: ao criar backup em nuvem, um arquivo protegido por senha é enviado à conta autorizada. A senha deve ser guardada pelo responsável; armazenamento em nuvem depende também da proteção e das regras dessa conta.
• WhatsApp Business/Meta e mapas: podem receber telefone, conteúdo das mensagens, códigos de verificação ou localização consultada, conforme o fluxo habilitado. Não inclua dados clínicos desnecessários em mensagens ou buscas.
• RNDS, SNCR e destinatários de exportação: recebem os dados exigidos pela operação autorizada e pelo ambiente configurado. Credenciamento, finalidade, perfis e requisitos de transmissão devem ser verificados pelo estabelecimento.
• Sincronização entre dispositivos: pode compartilhar dados com computadores autorizados no contexto da clínica, conforme categorias, destinatários e consentimentos do fluxo. Compartilhamento entre clínicas não é liberado apenas pela existência de uma licença.

8. Transferências internacionais

A hospedagem, autenticação e serviços externos podem tratar dados fora do Brasil; a transcrição em nuvem configurada no Desktop já prevê processamento nos Estados Unidos. Portanto, não se promete residência exclusivamente nacional de todos os dados.

Antes de realizar uma transferência internacional, o responsável deve identificar exportador, importador, países, categorias, finalidade e base legal, e verificar o mecanismo permitido pela LGPD e pela regulamentação da ANPD, incluindo garantias contratuais quando cabíveis. O aceite genérico da licença não substitui esses requisitos. A relação dos destinos efetivos e as informações sobre as garantias aplicadas são pendências da implantação.

9. Cookies e preferências

O site utiliza mecanismos de sessão e cookies necessários a autenticação, carrinho, preferências e proteção do acesso. Bloqueá-los no navegador pode impedir login ou compra. A duração varia conforme sessão, opção de permanência conectada e configuração do componente.

Quando configurado, o Google Analytics 4 mede visitas e cliques predefinidos nas páginas públicas institucionais somente após a escolha “Permitir estatísticas”. A opção “Somente necessários” mantém a medição desligada. O botão “Privacidade e cookies”, nas páginas públicas participantes, permite rever ou revogar essa escolha sem impedir o acesso ao site.

A preferência é guardada no cookie uversa_analytics_consent por até 180 dias. Se a medição for permitida, o Google poderá criar os cookies _ga e _ga_* por até 180 dias, para distinguir navegadores e sessões. Ao revogar, a integração desativa a coleta e remove esses cookies acessíveis no domínio. O Google recebe dados técnicos da conexão e eventos de navegação e pode processá-los no exterior; essa medição não é apresentada como anonimização.

Esta integração exclui visitantes autenticados, conta, administração, suporte, carrinho, pagamento e ativação. Os eventos próprios não incluem nome, e-mail, CPF, identificador da conta, campos de formulários ou dados clínicos; os endereços medidos não incluem parâmetros de consulta nem fragmentos. A personalização de anúncios e o Google Signals ficam desativados. Cookies necessários de autenticação, segurança e compra continuam sujeitos às suas próprias finalidades e durações.

10. Proteção e limites técnicos

O produto emprega controles de sessão, permissões, integridade, autorização de instalação e proteção de credenciais e de determinados campos sensíveis. Esses controles não equivalem a criptografia integral de todo banco, documento, áudio ou exportação, nem eliminam riscos de acesso ao computador, malware ou uso indevido de uma conta autorizada.

A instituição deve proteger equipamentos e rede, atualizar os componentes, atribuir menor privilégio, testar backups, controlar senhas e avaliar os serviços externos. Suporte com acesso a dados reais requer procedimento autorizado, minimização e canal protegido. Nos contatos comuns, utilize exemplos fictícios ou efetivamente anonimizados; remover apenas o nome pode ser insuficiente para impedir identificação.

11. Retenção, backups e encerramento

As conversas de atendimento são privadas entre o autor e a equipe Uversa. O autor pode compartilhar explicitamente o histórico público com gestores ativos escolhidos de sua clínica. Esses gestores podem ler e responder; notas internas permanecem restritas à equipe. A perda da função ou a remoção do compartilhamento interrompe o acesso. O autor mantém seu próprio histórico após o término do vínculo.

O conteúdo é eliminado do banco ativo 12 meses após a resolução da conversa. Uma reabertura reinicia o prazo a partir do próximo encerramento. A administração principal pode suspender o descarte com justificativa e data de revisão. Não inclua prontuários, dados de pacientes, senhas ou chaves de licença. A integração de inteligência artificial do atendimento permanece desativada e não transmite mensagens a provedores externos.

Os avisos opcionais por e-mail contêm somente o protocolo e o link autenticado, sem transcrição. A exportação de dados inclui mensagens do próprio solicitante e respostas públicas da empresa, sem notas internas ou mensagens de outros clientes. Pedidos de exclusão seguem os controles de privacidade do WordPress e a revisão de eventuais preservações justificadas.

A eliminação do banco ativo não equivale à eliminação imediata em backups. A operação deve manter e informar os prazos próprios dos backups e reaplicar o descarte de conversas vencidas após restaurações, antes de reabrir o atendimento.

Dados comerciais e de licença devem ser conservados pelo tempo necessário à execução do contrato, cumprimento de obrigações, prevenção de abuso e defesa de direitos, com revisão de necessidade. Além do prazo de atendimento definido acima, o controlador deverá aprovar e divulgar os prazos ou critérios das demais categorias, incluindo logs, convites, backups e registros de incidentes. Esta versão não presume os prazos ainda não definidos.

Prontuários e registros probatórios locais seguem a guarda definida pelo controlador assistencial e a legislação profissional e sanitária. Para as hipóteses regidas pela Lei nº 13.787/2018, a eliminação deve observar o prazo mínimo de 20 anos desde o último registro e os demais requisitos da lei. Esse prazo não é uma autorização para guardar indefinidamente toda categoria de dado comercial ou técnico.

Cancelar a assinatura não apaga o banco local, backups ou dados de contas externas. O responsável deve coordenar retenção e descarte dessas cópias. A revogação de consentimento interrompe os usos que dele dependam, sem eliminar automaticamente registros cuja conservação tenha fundamento próprio. Correções, consentimentos e eventos de auditoria podem preservar histórico íntegro nos limites legalmente justificados.

12. Direitos dos titulares e pedidos

O titular pode solicitar confirmação de tratamento, acesso, correção, informações sobre compartilhamento, portabilidade conforme a regulamentação aplicável e os segredos protegidos, revisão de decisões automatizadas e anonimização, bloqueio ou eliminação nas hipóteses legais. Pode ainda obter informação sobre consentimento, recusá-lo quando facultativo e revogá-lo, preservadas as bases legais independentes.

Pedidos relativos à conta, à cobrança ou à licença devem ser dirigidos ao controlador comercial pelo canal oficial a publicar. Pedidos sobre prontuários devem ser dirigidos ao médico ou à instituição responsável pelo registro; a Uversa não pode atender, pelo portal comercial, acesso a um banco clínico que permanece apenas no computador da clínica.

A identidade e a representação devem ser verificadas de maneira proporcional antes da entrega ou alteração de dados. A confirmação ou o acesso terão resposta simplificada imediata ou declaração completa em até 15 dias, conforme a modalidade legal aplicável. Outros pedidos seguem seus prazos próprios e devem receber resposta fundamentada, inclusive sobre eventual impossibilidade legal de exclusão. O exercício de direitos é gratuito.

O Desktop oferece fluxos de solicitação, verificação, correção, consentimento e exportação com histórico e recibo, sujeitos a permissões e escopo. Esses recursos apoiam o atendimento institucional; não o realizam automaticamente. A exportação estruturada não garante que todo sistema de destino importe integralmente os arquivos.

13. Decisões automatizadas e revisão humana

Verificações automáticas de titularidade, pagamento, validade, quantidade de instalações e segurança podem limitar a ativação ou a escrita. Quem considerar uma restrição indevida poderá solicitar informações e revisão pelo canal oficial, sem receber segredos que comprometam o mecanismo de proteção. O canal ainda deve ser disponibilizado antes da abertura comercial.

Resultados de IA clínica são sugestões sujeitas a governança e confirmação profissional; não devem ser usados como decisão assistencial autônoma. Registrar uma revisão humana no aplicativo não dispensa a avaliação real do conteúdo, o dever de informação nem o atendimento aos direitos do paciente.

14. Incidentes e comunicação

Suspeitas de acesso indevido, perda de computador, exposição de backup ou credencial devem ser comunicadas ao responsável pelo ambiente e, quando envolverem os serviços da fornecedora, ao canal oficial. Preserve as evidências necessárias sem divulgar prontuários em canais abertos.

O controlador competente deve avaliar o incidente, adotar contenção, documentar as medidas e comunicar titulares e ANPD quando houver os requisitos de risco ou dano relevante, nos prazos e condições da regulamentação aplicável. Prestadores devem colaborar conforme suas responsabilidades. Os contatos e o procedimento operacional de incidentes são pendências de implantação.

15. Atualizações e transparência

Esta política deverá ser atualizada quando houver alteração relevante de finalidade, categoria, destinatário, transferência ou retenção. Mudanças materiais devem ser comunicadas com clareza e novas autorizações obtidas quando exigidas; continuar a usar o site não é consentimento automático para uma nova finalidade.

A página Suporte contém orientações, mas ainda não substitui um canal oficial de privacidade em funcionamento. A identificação do controlador e do encarregado, os contatos, os fornecedores efetivos, o inventário de cookies e os critérios de retenção devem ser completados antes da produção.